gо
можно лочить версии руками, указывать прям в основном манифесте точные версии с запретом любых апдейтов, включая патч
Size: a a a
2021 October 22
D
глазками аудиты делать? Дорого, мл? Неоднозначно..
gо
но это дурацкий бизиворк, машина может сделать то же самое гораздо быстрее
LL
А что мешает лочить версии в .toml?
gо
а зачем это делать руками?
D
версии решают только часть проблемы, даже явно залоченные
LL
А зачем тогда лочить версии?
ND
репродюсибл билды для этого есть
gо
чтобы если оно один раз заработало с этим набором версий, то никакой мудак его патч-апдейтом не сломает
D
чтобы не проснуться сутра и не обнаружить что твой банк просрал n денек
gо
пока ты сам, в явном виде, не попросишь его обновить локфайл
LL
Ну вот выбрал версию, написал руками и всё? Пока явно не скажешь что тебе нужна версия поновее
gо
транзитивные зависимости
gо
какой-нибудь мудак обновит версию транзитивной зависимости и всё тебе порушит
gо
лок лочит всё, включая транзитивные
D
так..если уявизмость в поддельной версии, как это поможет? исходный код будет соответствовать скомпилированному
D
или я чето не так понял
LL
А конфигурация транзитивной зависимрсти лочит свои зависимости
gо
или не лочит
или лочит, но плохо
или лочит, но плохо
D
это никто не гарантирует